PBC（Pairing-based cryptography）库是一个免费的C库（根据GNU Lesser General Public许可证发布），它建立在GMP库的基础上，执行基于配对的加密系统的数学运算

安装教程

该安装教程当前仅适用Linux平台的用户，具体可参考官方文档

下载

首先，在官网下载安装包，可以看到有多个不同的包，这里下载pbc-0.5.14.tar.gz，这是因为安装环境是在Linux平台（如有必要，本文档后续会更新在Windows平台的安装教程）

讯享网

编译和安装库

对于大多数库，解压缩源程序包后，输入以下命令将其安装到主目录的本地子目录

 $ ./configure --prefix=$HOME/.local $ make $ make install 

其中–prefix指定了PBC库要安装的目录，您也可以指定到自己喜欢的地方。如果一切正常，您应该会在$HOME/.local中看到新文件，包括include、lib和bin三个文件夹

简单使用

下面是PBC程序foo.c中的内容

讯享网#include "pbc.h" int main(void) { 
    /* call PBC functions */ return 0; } 

当完成程序编写，则需要gcc来完成程序编译，我们使用以下命令进行编译

$ gcc -o foo foo.c -I ~/.local/include/pbc -L ~/.local/lib -Wl,-rpath ~/.local/lib -l pbc 

编译成功后，会在当前目录生产foo，通过./foo执行即可

BLS实现

本章将介绍如何使用PBC库实现Boneh Lynn Shacham（BLS）签名方案，它基于文件example/bls.c

回顾BLS

我们有三个阶为素数$r$的群$G_1,G_2,G_T$和一个双线性映射$e$，它从$G_1$中获取一个元素，从$G_2$中获取一个元素，并输出$G_T$中的一个元素。我们将其与系统参数$g$一起发布，$g$是$G_2$中随机选择的元素
爱丽丝想在消息上签名。首先，她生成她的公钥和私钥，她的私钥是$Z_r$的一个随机元素$x$，对应的公钥是$g^x$。为了给消息签名，Alice将消息散列到$G_1$的某个元素$h$，然后输出签名$\sigma =h^x$。为了验证签名$\sigma$，Bob检查$e(h,g^x)=e(\sigma ,g)$

代码实现

现在，我们使用PBC库将上述过程转换为C代码。
首先，我们包含必须的头文件pbc/pbc.h

讯享网#include <pbc.h> 

接着，初始化双线性对，构建双线性对所需的参数param将在执行时被传递进来，即通过./bls < param/a.param来执行该程序

pairing_t pairing; char param[1024]; size_t count = fread(param, 1, 1024, stdin); if (!count) pbc_die("input error"); pairing_init_set_buf(pairing, param, count); 

我们需要几个element_t变量来保存系统参数、密钥和其他量。我们声明并初始化它们

讯享网element_t g, h; element_t public_key, secret_key; element_t sig; element_t temp1, temp2; element_init_G2(g, pairing); element_init_G2(public_key, pairing); element_init_G1(h, pairing); element_init_G1(sig, pairing); element_init_GT(temp1, pairing); element_init_GT(temp2, pairing); element_init_Zr(secret_key, pairing); 

生成系统参数$g$，私钥以及对应公钥

element_random(g); element_random(secret_key); element_pow_zn(public_key, g, secret_key); 

当给定要签名的消息时，我们首先使用一些标准哈希算法计算其哈希。许多库都可以做到这一点，而且此操作不涉及双线性映射，因此PBC不提供此步骤的函数。对于这个例子，我们的消息已经被散列，这可能使用了另一个库。假设消息散列为“ABCDEF”（48位散列）。我们将这些字节映射到$G_1$的元素$h$并进行签名计算

讯享网element_from_hash(h, "ABCDEF", 6); element_pow_zn(sig, h, secret_key); 

为了验证这个签名，我们比较了基于签名$\sigma$和系统参数$g$的双线性映射输出，以及应用于消息哈希$h$和公钥$g^x$的双线性映射输出。如果输出匹配，则签名有效

pairing_apply(temp1, sig, g, pairing); pairing_apply(temp2, h, public_key, pairing); if (!element_cmp(temp1, temp2)) { 
    printf("signature verifies\n"); } else { 
    printf("signature does not verify\n"); } 

最后按照上节提到的编译方法编译执行即可看到输出结果

椭圆曲线选取

官方文档中介绍了多种用于双线性映射的椭圆曲线，这里先简要介绍A类椭圆曲线
A类配对(pairing)所用椭圆曲线是在$F_q$域上的曲线$y^2=x^3+x$，其中$q$是素数且满足$q=3\mathrm{m}\mathrm{o}\mathrm{d}4$。$G_1$和$G_2$都是$E(F_q)$群上的点的集合，$G_T$为$F_{q^2}$的一个子群，其阶数$r$为$q+1$的素因子，令$q+1=r\ast h$，一般取$r$为Solinas素数，即$r$具有$2^a\pm 2^b\pm 1$的形式，其中整数$a,b$满足$0<b<a$，此外，PBC库为了方便计算，选择的$q$满足$q=-1\mathrm{m}\mathrm{o}\mathrm{d}12$
由以上知识，就可以得到A类配对的参数，PBC官方库提供的参数结构如下

讯享网exp2, exp1, sign1, sign0, r: r = 2^exp2 + sign1 * 2^exp1 + sign0 * 1 (Solinas prime) q, h: r * h = q + 1 其中q是素数, h是12的倍数(因此q = -1 mod 12) 

参数具体数值如下

type a q 0 h  r 9617 exp2 159 exp1 107 sign1 1 sign0 1 

PBC库函数

这部分参考官方文档